Нужно ли подавать уведомление в Роскомнадзор, если ведёшь базу клиентов в CRM?

Кто обязан подавать уведомление

Уведомление — это сообщение Роскомнадзору о том, что вы собираетесь обрабатывать персональные данные. По ч. 1 ст. 22 закона № 152-ФЗ его подают до начала обработки. Подаёт оператор — тот, кто решает, зачем и какие данные собирать (п. 2 ст. 3): компания или индивидуальный предприниматель. Поставщик CRM за вас уведомление не подаёт.

До 1 сентября 2022 года исключений было много: без уведомления можно было, например, обрабатывать данные сотрудников и клиентов, с которыми заключён договор. Закон № 266-ФЗ эти пункты отменил. Сейчас в ч. 2 ст. 22 осталось три случая, и обычному бизнесу подходит только один — когда данные обрабатываются исключительно без средств автоматизации.

ч. 2 ст. 22Можно без уведомления

• Данные ведутся только на бумаге, без компьютера
• Государственные системы для защиты безопасности государства и общественного порядка
• Случаи из законодательства о транспортной безопасности

Обычный бизнесНужно уведомление

• База клиентов в CRM
• Таблица клиентов в Excel
• Заявки с сайта, которые приходят на почту
• Записи звонков в телефонии
• Данные сотрудников в учётной программе

Автоматизированной закон называет обработку с помощью вычислительной техники (п. 4 ст. 3). Поэтому довод «у нас нет CRM, только таблица» от уведомления не освобождает: таблица на компьютере — тоже автоматизированная обработка.

Что указать в уведомлении, если база в CRM

Состав сведений задан ч. 3 ст. 22, а форму утверждает Роскомнадзор. С 1 сентября 2022 года сведения указывают отдельно по каждой цели: для каждой — категории данных и людей, правовое основание, действия с данными и способы обработки (ч. 3.1). Для базы клиентов в CRM это выглядит примерно так:

Записи звонков и переписку стоит назвать прямо: если вы их храните, это такие же данные клиента, как телефон. Как к записям подходить по закону — в ответе законно ли записывать разговоры с клиентами.

Как подать уведомление — по шагам

1. 1
   Перечислите цели

   Продажи, работа с сотрудниками, сайт, рассылки — каждая цель описывается отдельно, со своими данными и основанием.

2. 2
   Спросите поставщиков

   У CRM: где стоят серверы, есть ли передача за рубеж, какие средства шифрования используются. Те же вопросы — телефонии и сервису рассылок.

3. 3
   Заполните форму

   Форму утверждает Роскомнадзор; её заполняют на портале персональных данных Роскомнадзора.

4. 4
   Подпишите и отправьте

   Закон допускает и электронный документ, и бумагу (ч. 3 ст. 22): подпишите электронной подписью или распечатайте, подпишите и отправьте почтой. Способы подачи описаны на портале.

5. 5
   Дождитесь записи в реестре

   Роскомнадзор вносит сведения в реестр операторов в течение 30 дней; плату за это не берут (ч. 4 и 5 ст. 22).

Сроки, которые нужно помнить

1. До стартаУведомлениеПодаётся до начала обработки данных (ч. 1 ст. 22)
2. 30 днейЗапись в реестреРоскомнадзор вносит сведения в реестр операторов (ч. 4)
3. До 15-гоИзмененияИзменились сведения — сообщите до 15-го числа следующего месяца (ч. 7)
4. 10 раб. дн.ПрекращениеПерестали обрабатывать данные — уведомите в течение десяти рабочих дней (ч. 7)

Что меняет облачная CRM

Когда база живёт в облачной CRM, оператором остаётесь вы: вы решаете, зачем собирать данные и что с ними делать. Поставщик CRM обрабатывает их по вашему поручению. Для такого поручения закон требует договор, в котором перечислены данные, действия с ними и цели, а также обязанности поставщика: хранить конфиденциальность, держать базу в России и защищать её (ч. 3 ст. 6). Перед клиентами за действия поставщика отвечаете вы (ч. 5 ст. 6).

• Номер поставщика в реестре — не ваш. Если CRM сама зарегистрирована как оператор, это про её собственные данные: учётные записи пользователей, договоры. Ваше уведомление он не заменяет.
• Сменили CRM — проверьте уведомление. Изменилось место базы или меры защиты, появилась передача за рубеж — сообщите об изменениях до 15-го числа следующего месяца (ч. 7 ст. 22).
• Зарубежные сервисы. Если данные клиентов уходят за границу — например, в зарубежный сервис рассылок, — это трансграничная передача, и о ней подают отдельное уведомление (ч. 3 ст. 12). А вести базу граждан России на серверах за рубежом нельзя, за редкими исключениями (ч. 5 ст. 18): подробнее — в ответе где безопасно хранить клиентскую базу.

Штрафы и частые ошибки

С 30 мая 2025 года ответственность за нарушения в области персональных данных собрана в ст. 13.11 КоАП в новой редакции (закон № 420-ФЗ). Индивидуальные предприниматели за нарушения из частей 8–18 отвечают как юридические лица.

100–300 тыс. ₽за неподачу или несвоевременную подачу уведомления — компании и ИП (ч. 10)

30–60 тыс. ₽если на сайте нет политики обработки данных — компании; ИП — 10–20 тыс. ₽ (ч. 3)

1–6 млн ₽если база граждан России ведётся на серверах за рубежом — компании и ИП (ч. 8)

Источник: КоАП РФ, ст. 13.11 в редакции с 30.05.2025

Чаще всего ошибаются не в том, подавать ли уведомление, а в том, что в нём написано:

• «Подали один раз — и всё». Добавили запись звонков или рассылку, сменили CRM, а в уведомлении остались старые сведения.
• «Мы ИП, нас это не касается». Касается: ИП — такой же оператор.
• «База в облаке» без страны и места — Роскомнадзор вправе потребовать уточнений до внесения в реестр (ч. 6 ст. 22).
• Одна цель на всё. С 2022 года сведения раскрывают по каждой цели отдельно.

Это не юридическая консультация

Мы описали нормы в редакции, действующей в октябре 2026 года. Если сомневаетесь, какие цели и основания указать, покажите черновик уведомления юристу до отправки.

Как это устроено в Итогии

Уведомление о своей базе клиентов подаёте вы, а Итогия даёт сведения для пунктов о CRM и закрывает часть мер защиты, которые в нём описывают.

• Где база. Основная база Итогии работает на серверах в России; точные сведения для пунктов уведомления о CRM дадим по запросу.
• Наш номер в реестре — про нас. Итогия зарегистрирована в реестре операторов персональных данных под № 100268898. Это касается наших собственных данных — учётных записей пользователей и договоров; уведомление об обработке своей базы клиентов подаёте вы.
• Доступ по должностям. Менеджер по умолчанию не может выгрузить базу в файл и удалить клиента; выгрузка открыта директору и руководителю отдела продаж.
• Журналы. Экран «Доступ к персональным данным» показывает, кто и когда выгружал базу, скачивал личные документы клиента или стирал его данные, а «Кто что менял» — правки настроек и удаления.
• Вход и шифрование. Пароли хранятся в виде хеша, подбор пароля блокируется, а файлы с пометкой «Это личные документы клиента» лежат на сервере зашифрованными.
• Клиент просит удалить данные. Владелец аккаунта стирает в карточке его имя, телефоны, почту и другие личные сведения одной кнопкой; сделки и история остаются, а действие попадает в журнал.

Сведения о серверах и мерах защиты для своего уведомления можно запросить по адресу support@itogia.ru.

Доступ к персональным даннымжурнал

ИИрина, РОПвыгрузка в файл · сделки за сентябрьвыгрузка

ААлексей, директорскачал личный документ клиентадокумент

ААлексей, директорстёр данные по просьбе клиентаобезличивание

Ещё вопросы по теме

Нужно ли уведомление ИП, который работает один?

Да, если вы ведёте данные клиентов на компьютере — в CRM, таблице или почте. Закон не делает исключения ни для ИП, ни для маленьких компаний: без уведомления можно обрабатывать данные только в трёх случаях из ч. 2 ст. 22, и для бизнеса это работа исключительно на бумаге. За неподачу ИП отвечает как юридическое лицо.

Мы уже работаем с базой, а уведомление не подавали. Что делать?

Подать как можно скорее. Закон наказывает и за неподачу, и за несвоевременную подачу (ч. 10 ст. 13.11 КоАП), но поданное уведомление прекращает нарушение на будущее. Заодно проверьте, опубликована ли на сайте политика обработки данных. Риски за прошлый период оценит юрист.

Как проверить, есть ли компания в реестре операторов?

Реестр операторов ведёт Роскомнадзор, и сведения в нём, кроме описания средств защиты, общедоступны (ч. 4 ст. 22). Найти оператора можно в реестре на портале персональных данных Роскомнадзора. Так же стоит проверить и поставщика CRM — но помнить, что его номер касается только его собственных данных.

Источники

• Федеральный закон № 152-ФЗ «О персональных данных», ст. 22 — КонсультантПлюс
• КоАП РФ, ст. 13.11 «Нарушение законодательства в области персональных данных» — КонсультантПлюс
• Федеральный закон от 30.11.2024 № 420-ФЗ (вступил в силу 30.05.2025) — «Российская газета»

Дальше по теме: данные и безопасность в Итогии, CRM для малого бизнеса, переезд в Итогию и все вопросы и ответы.